UD 3: “Implantación de técnicas de seguridad remoto. Seguridad perimetral.”

1. UD 3: “Implantación de técnicas de seguridad remoto. Seguridad perimetral.” Servidores de acceso remoto Luis Alfonso Sánchez Brazales

2. Servidores de acceso remoto • Protocolos de autenticación. - Protocolos PPP, PPoE, PPPoA PPP: Point-to-Point Protocol Es un protocolo de nivel de enlace estandarizado en el documento RFC 1661. Por tanto, se trata de un protocolo asociado a la pila TCP/IP de uso en Internet. El protocolo PPP permite establecer una comunicación a nivel de la capa de enlace TCP/IP entre dos computadoras. Generalmente, se utiliza para establecer la conexión a Internet de un particular con su proveedor de acceso a través de un módem telefónico. Ocasionalmente también es utilizado sobre conexiones de banda ancha (como PPPoE o PPPoA). Además del simple transporte de datos, PPP facilita dos funciones importantes: • Autenticación. Generalmente mediante una clave de acceso. • Asignación dinámica de IP. Los proveedores de acceso cuentan con un número limitado de direcciones IP y cuentan con más clientes que direcciones. Naturalmente, no todos los clientes se conectan al mismo tiempo. Así, es posible asignar una dirección IP a cada cliente en el momento en que se conectan al proveedor. La dirección IP se conserva hasta que termina la conexión por PPP. Posteriormente, puede ser asignada a otro cliente. Luis Alfonso Sánchez Brazales

3. Servidores de acceso remoto PPOE: PPPoE (Protocolo Punto a Punto sobre Ethernet) es un protocolo de red para la encapsulación PPP sobre una capa de Ethernet. Es utilizada mayoritariamente para proveer conexión de banda ancha mediante servicios de cable módem y xDSL. Este ofrece las ventajas del protocolo PPP como son la autenticación, cifrado, mantención y compresión. En esencia, es un protocolo túnel, que permite implementar una capa IP sobre una conexión entre dos puertos Ethernet, pero con las características de software del protocolo PPP, por lo que es utilizado para virtualmente "marcar" a otra máquina dentro de la red Ethernet, logrando una conexión "serial" con ella, con la que se pueden transferir paquetes IP, basado en las características del protocolo PPP. Esto permite utilizar software tradicional basado en PPP para manejar una conexión que no puede usarse en líneas seriales pero con paquetes orientados a redes locales como Ethernet para proveer una conexión clásica con autenticación para cuentas de acceso a Internet. Además, las direcciones IP en el otro lado de la conexión sólo se asignan cuando la conexión PPPoE es abierta, por lo que admite la reutilización de direcciones IP (direccionamiento dinámico). El objetivo y funcionamiento de PPPoE es análogo al protocolo PPP sobre RTC con el que a finales de los 90 y bajo un stacktcp, se establecía un enlace ip punto a punto a través de la red telefónica conmutada (RTC), permitiendo utilizar por encima una serie de protocolos de nivel de aplicación tipo http, ftp, telnet, etc. Luis Alfonso Sánchez Brazales

4. Servidores de acceso remoto PPPOA: PPPoA, Protocolo de Punto a Punto (PPP) sobre ATM (PPP over ATM), es un protocolo de red para la encapsulación PPP en capas ATM AAL5. El protocolo PPPoA se utiliza principalmente en conexiones de banda ancha sixto, como arcadio y fucktrix. Este ofrece las principales funciones PPP como autenticación, cifrado y compresión de datos. Actualmente tiene alguna ventaja sobre PPPoE debido a que reduce la pérdida de calidad en las transmisiones. Al igual que PPPoE, PPPoA puede usarse en los modos VC-MUX y LLC. AUTENTICACIÓN DE CONTRASEÑA: PAP El Protocolo de autenticación de contraseña (PAP, PasswordAuthenticationProtocol) es un protocolo de autenticación simple en el que el nombre de usuario y la contraseña se envían al servidor de acceso remoto como texto simple (sin cifrar). No se recomienda utilizar PAP, ya que las contraseñas pueden leerse fácilmente en los paquetes del Protocolo punto a punto (PPP, Point-to-Point Protocol) intercambiados durante el proceso de autenticación. PAP suele utilizarse únicamente al conectar a servidores de acceso remoto antiguos basados en UNIX que no admiten métodos de autenticación más seguros. Luis Alfonso Sánchez Brazales

5. Servidores de acceso remoto Protocolo de autenticación por desafío mutuo (CHAP) El protocolo de autenticación por desafío mutuo (CHAP, ChallengeHandshakeAuthenticationProtocol) es un método de autenticación muy utilizado en el que se envía una representación de la contraseña del usuario, no la propia contraseña. Con CHAP, el servidor de acceso remoto envía un desafío al cliente de acceso remoto. El cliente de acceso remoto utiliza un algoritmo hash (también denominado función hash) para calcular un resultado hash de Message Digest-5 (MD5) basado en el desafío y un resultado hash calculado con la contraseña del usuario. El cliente de acceso remoto envía el resultado hash MD5 al servidor de acceso remoto. El servidor de acceso remoto, que también tiene acceso al resultado hash de la contraseña del usuario, realiza el mismo cálculo con el algoritmo hash y compara el resultado con el que envió el cliente. Si los resultados coinciden, las credenciales del cliente de acceso remoto se consideran auténticas. El algoritmo hash proporciona cifrado unidireccional, lo que significa que es sencillo calcular el resultado hash para un bloque de datos, pero resulta matemáticamente imposible determinar el bloque de datos original a partir del resultado hash. Autenticación extensible: EAP. Métodos. EAP Hemos visto que 802.1X utiliza un protocolo de autenticación llamado EAP (Extensible AuthenticationProtocol) que admite distintos métodos de autenticación como certificados, tarjetas inteligentes, ntlm, Kerberos, ldap, etc. En realidad EAP actúa como intermediario entre un solicitante y un motor de validación permitiendo la comunicación entre ambos. Luis Alfonso Sánchez Brazales

6. Servidores de acceso remoto El proceso de validación está conformado por tres elementos, un solicitante que quiere ser validado mediante unas credenciales, un punto de acceso y un sistema de validación situado en la parte cableada de la red. Para conectarse a la red, el solicitante se identifica mediante una credenciales que pueden ser un certificado digital, una pareja nombre/usuario u otros datos. Junto con las credenciales, el cliente solicitante tiene que añadir también qué sistema de validación tiene que utilizar. Evidentemente no podemos pretender que el punto de acceso disponga del sistema de validación. Por ejemplo, si queremos utilizar como credenciales los usuarios de un sistema, será el punto de acceso el que tendrá que preguntar al sistema si las credenciales son correctas. En general EAP actúa de esta forma, recibe una solicitud de validación y la remite a otro sistema que sepa como resolverla y que formará parte de la red cableada. De esta forma vemos como el sistema EAP permite un cierto tráfico de datos con la red local para permitir la validación de un solicitante. El punto de acceso rechaza todas las tramas que no estén validadas, que provengan de un cliente que no se he identificado, salvo aquéllas que sean una solicitud de validación. Estos paquetes EAP que circulan por la red local se denominan EAPOL (EAP over LAN). Una vez validado, el punto de acceso admite todo el tráfico del cliente. El sistema de autenticación puede ser un servidor RADIUS situado en la red local. Luis Alfonso Sánchez Brazales

7. Servidores de acceso remoto Los pasos que sigue el sistema de autenticación 802.1X son: • El cliente envía un mensaje de inicio EAP que inicia un intercambio de mensajes para permitir autenticar al cliente. • El punto de acceso responde con un mensaje de solicitud de identidad EAP para solicitar las credenciales del cliente. • El cliente envía un paquete respuesta EAP que contiene las credenciales de validación y que es remitido al servidor de validación en la red local, ajeno al punto de acceso. • El servidor de validación analiza las credenciales y el sistema de validación solicitado y determina si autoriza o no el acceso. En este punto tendrán que coincidir las configuraciones del cliente y del servidor, las credenciales tienen que coincidir con el tipo de datos que espera el servidor. • El servidor pude aceptar o rechazar la validación y le envía la respuesta al punto de acceso. • El punto de acceso devuelve un paquete EAP de acceso o de rechazo al cliente. • Si el servidor de autenticación acepta al cliente, el punto de acceso modifica el estado del puerto de ese cliente como autorizado para permitir las comunicaciones. De lo que hemos visto, el protocolo 802.1X tiene un mecanismo de autenticación independiente del sistema de cifrado. Si el servidor de validación 802.1X está configurado adecuadamente, se puede utilizar para gestionar el intercambio dinámico de claves, e incluir la clave de sesión con el mensaje de aceptación. El punto de acceso utiliza las claves de sesión para construir, firmar y cifrar el mensaje de clave EAP que se manda tras el mensaje de aceptación. El cliente puede utilizar el contenido del mensaje de clave para definir las claves de cifrado aplicables. En los casos prácticos de aplicación del protocolo 802.1X, el cliente puede cambiar automáticamente las claves de cifrado con la frecuencia necesaria para evitar que haya tiempo suficiente como para poder averiguarla. Existen múltiples tipos de EAP, algunos son estándares y otros son soluciones propietarias de empresas. Entre los tipos de EAP podemos citar: Luis Alfonso Sánchez Brazales

8. Servidores de acceso remoto EAP-TLS • Es un sistema de autenticación fuerte basado en certificados digitales, tanto del cliente como del servidor, es decir, requiere una configuración PKI (Public Key Infraestructure) en ambos extremos. TLS (transportLayer Security) es el nuevo estándar que sustituye a SSL (Secure Socket Layer). EAP-TTLS • El sistema de autenticación se basa en una identificación de un usuario y contraseña que se transmiten cifrados mediante TLS, para evitar su transmisión en texto limpio. Es decir se crea un túnel mediante TLS para transmitir el nombre de usuario y la contraseña. A diferencia de EAP-TLS sólo requiere un certificado de servidor PEAP El Protocolo de autenticación extensible protegido (PEAP) es un nuevo miembro de la familia de protocolos de Protocolo de autenticación extensible (EAP). PEAP utiliza Seguridad de nivel de transporte (TLS) para crear un canal cifrado entre un cliente de autenticación PEAP, como un equipo inalámbrico, y un autenticador PEAP, como un Servicio de autenticación de Internet (IAS) o un servidor del Servicio de usuario de acceso telefónico de autenticación remota (RADIUS). PEAP no especifica un método de autenticación, sino que proporciona seguridad adicional para otros protocolos de autenticación de EAP, como EAP-MSCHAPv2, que pueden operar a través del canal cifrado de TLS que proporciona PEAP. PEAP se utiliza como método de autenticación para los equipos cliente inalámbricos 802.11, pero no se admite en clientes de red privada virtual (VPN) u otros clientes de acceso remoto. Para mejorar los protocolos EAP y la seguridad de red, PEAP proporciona: • Protección de la negociación del método EAP que se produce entre el cliente y el servidor mediante un canal TLS. Esto ayuda a impedir que un intruso inserte paquetes entre el cliente y el servidor de acceso a la red (NAS) para provocar la negociación de un método EAP menos seguro. El canal TLS cifrado también ayuda a evitar ataques por denegación de servicio contra el servidor IAS. • Compatibilidad con la fragmentación y el re ensamble de mensajes, lo que permite el uso de tipos de EAP que no lo proporcionan. Luis Alfonso Sánchez Brazales

9. Servidores de acceso remoto • Clientes inalámbricos con la capacidad de autenticar el servidor IAS o RADIUS. Como el servidor también autentica al cliente, se produce la autenticación mutua. • Protección contra la implementación de un punto de acceso inalámbrico (WAP) no autorizado cuando el cliente EAP autentica el certificado que proporciona el servidor IAS. Además, el secreto principal TLS creado por el autenticador y el cliente PEAP no se comparte con el punto de acceso. Como consecuencia, el punto de acceso no puede descifrar los mensajes protegidos por PEAP. • Reconexión rápida de PEAP, que reduce el tiempo de retraso entre la solicitud de autenticación de un cliente y la respuesta del servidor IAS o RADIUS, y que permite a los clientes inalámbricos moverse entre puntos de acceso sin solicitudes de autenticación repetidas. De esta forma, se reducen los requisitos de recursos del cliente y el servidor. KERBEROS Kerberos es un protocolo de autenticación de redes de ordenador que permite a dos computadores en una red insegura demostrar su identidad mutuamente de manera segura. Sus diseñadores se concentraron primeramente en un modelo de cliente-servidor, y brinda autenticación mutua: tanto cliente como servidor verifican la identidad uno del otro. Los mensajes de autenticación están protegidos para evitar eavesdropping y ataques de Replay. Kerberos se basa en criptografía de clave simétrica y requiere un tercero de confianza. Además, existen extensiones del protocolo para poder utilizar criptografía de clave asimétrica. Kerberos se basa en el Protocolo de Needham-Schroeder. Usa un tercero de confianza, denominado "centro de Distribución de claves"el cual consiste de dos partes lógicas separadas: un "servidor de autenticación" (y un "servidor emisor de tiquets). Kerberos trabaja sobre la base de "tickets", los cuales sirven para demostrar la identidad de los usuarios. Kerberos mantiene una base de datos de claves secretas; cada entidad en la red (sea cliente o servidor) comparte una clave secreta conocida únicamente por él y Kerberos. Luis Alfonso Sánchez Brazales

10. Servidores de acceso remoto Funcionamiento de Kerberos el funcionamiento es el siguiente: el cliente se autentica a sí mismo contra el AS, así demuestra al TGS que está autorizado para recibir un ticket de servicio (y lo recibe) y ya puede demostrar al SS que ha sido aprobado para hacer uso del servicio kerberizado. • Un usuario ingresa su nombre de usuario y password en el cliente • El cliente genera una clave hash a partir del password y la usará como la clave secreta del cliente. • El cliente envía un mensaje en texto plano al AS solicitando servicio en nombre del usuario. Nota: ni la clave secreta ni el password son enviados, solo la petición del servicio. • El AS comprueba si el cliente está en su base de datos. Si es así, el AS genera la clave secreta utilizando la función hash con la password del cliente encontrada en su base de datos. Entonces envía dos mensajes al cliente: 1.Mensaje A: Client/TGS sessionkey cifrada usando la clave secreta del usuario 2. Mensaje B: Ticket-Granting Ticket (que incluye el ID de cliente, la dirección de red del cliente, el período de validez y el Client/TGS sessionkey) cifrado usando la clave secreta del TGS. • Una vez que el cliente ha recibido los mensajes, descifra el mensaje A para obtener el client/TGS sessionkey. Esta sessionkey se usa para las posteriores comunicaciones con el TGS. (El cliente no puede descifrar el mensaje B pues para cifrar éste usado la clave del TGS). En este momento el cliente ya se puede autenticar contra el TGS. • Entonces el cliente envía los siguientes mensajes al TGS: 1. Mensaje C: Compuesto del Ticket-Granting Ticket del mensaje B y el ID del servicio solicitado. 2. Mensaje D: Autenticador (compuesto por el ID de cliente y una marca de tiempo), cifrado usando el client/TGS sessionkey. • Cuando recibe los mensajes anteriores, el TGS descifra el mensaje D (autenticador) usando el client/TGS sessionkey y envía los siguientes mensajes al cliente: 1. Mensaje E: Client-to-server ticket (que incluye el ID de cliente, la dirección de red del cliente, el período de validez y una Client/Server sessionkey) cifrado usando la clave secreta del servicio. 2. Mensaje F: Client/server session key cifradausando el client/TGS session key. Luis Alfonso Sánchez Brazales

11. Servidores de acceso remoto 8. Cuando el cliente recibe los mensajes E y F, ya tiene suficiente información para autenticarse contra el SS. El cliente se conecta al SS y envía los siguientes mensajes: 1. Mensaje E del paso anterior. 2. Mensaje G: un nuevo Autenticador que incluye el ID de cliente, una marca de tiempo y que está cifrado usando el client/server sessionkey. 9. El SS descifra el ticket usando su propia clave secreta y envía el siguiente mensaje al cliente para confirmar su identidad: 1. Mensaje H: la marca de tiempo encontrada en el último Autenticador recibido del cliente más uno, cifrado el client/server sessionkey. 10. El cliente descifra la confirmación usando el client/server sessionkey y chequea si la marca de tiempo está correctamente actualizada. Si esto es así, el cliente confiará en el servidor y podrá comenzar a usar el servicio que este ofrece. 11. El servidor provee del servicio al cliente. Luis Alfonso Sánchez Brazales

12. Servidores de acceso remoto • Protocolos AAA el acrónimo AAA corresponde a un tipo de protocolos que realizan tres funciones: Autenticación, Autorización y Contabilización La expresión protocolo AAA no se refiere pues a un protocolo en particular, sino a una familia de Protocolos que ofrecen los tres servicios citados. AAA se combina a veces con auditoria, convirtiéndose entonces en AAAA. Autenticación • La Autenticación es el proceso por el que una entidad prueba su identidad ante otra. Normalmente la primera entidad es un cliente (usuario, ordenador, etc) y la segunda un servidor (ordenador) Autorización • Autorización se refiere a la concesión de privilegios específicos (incluyendo "ninguno") a una entidad o usuario basándose en su identidad (autenticada), los privilegios que solicita, y el estado actual del sistema Contabilización (Accounting) • La Contabilización se refiere al seguimiento del consumo de los recursos de red por los usuario RADIUS RADIUS Es un protocolo de autenticación y autorización para aplicaciones de acceso a la red o movilidad IP. Utiliza el puerto 1812 UDP para establecer sus conexiones. Cuando se realiza la conexión con un ISP mediante módem, DSL, cablemódem, Ethernet o Wi-Fi, se envía una información que generalmente es un nombre de usuario y una contraseña. Esta información se transfiere a un dispositivo Network Access Server (NAS) sobre el protocolo PPP, quien redirige la petición a un servidor RADIUS sobre el protocolo RADIUS. El servidor RADIUS comprueba que la información es correcta utilizando esquemas de autenticación como PAP, CHAP o EAP. Si es aceptado, el servidor autorizará el acceso al sistema del ISP y le asigna los recursos de red como una dirección IP, y otros parámetros como L2TP, etc. Luis Alfonso Sánchez Brazales

13. Servidores de acceso remoto Una de las características más importantes del protocolo RADIUS es su capacidad de manejar sesiones, notificando cuando comienza y termina una conexión, así que al usuario se le podrá determinar su consumo y facturar en consecuencia; los datos se pueden utilizar con propósitos estadísticos. Las prestaciones pueden variar, pero la mayoría pueden gestionar los usuarios en archivos de texto, servidores LDAP, bases de datos varias, etc. A menudo se utiliza SNMP para monitorear remotamente el servicio. Los servidores Proxy RADIUS se utilizan para una administración centralizada y pueden reescribir paquetes RADIUS al vuelo (por razones de seguridad, o hacer conversiones entre dialectos de diferentes fabricantes). TACACS+ TACACS+ (sistema de control de acceso del controlador de acceso a terminales) es un protocolo de autenticación remota que se usa para gestionar el acceso (proporciona servicios separados de autenticación, autorización y registro) a servidores y dispositivos de comunicaciones. TACACS+ está basado en TACACS, pero, a pesar de su nombre, es un protocolo completamente nuevo e incompatible con las versiones anteriores de TACACS. Luis Alfonso Sánchez Brazales

14. Servidores de acceso remoto • Configuración de parámetros de acceso. Habilitar el servidor RADIUS [DeviceName]>set radiustbl <índice> status enableseraddrfmt <dirección IP o nombre> ipaddr <dirección IP o nombre del servidor RADIUS IP> port <definido por el usuario>  ssecret <definido por el usuario> responsetm <1 - 4 segundos> maxretx <1 - 10 veces> [DeviceName]>show radiustbl Habilitar el control de acceso MAC RADIUS • [DeviceName]>set radmacaccctrlenable[DeviceName]>reboot 0 Configuración del tipo de formato de  dirección MAC • [DeviceName]>set radmacaddrformat <dashdelimited, colondelimited, singledashdelimited, nodelimiter> Configuración del tiempo de vida de la autenticación • [DeviceName]>set radauthlifetm <7200-43200 segundos; el valor predeterminado es 0> Habilitar el RADIUS de conteo • [DeviceName]>set radaccstatusenable[DeviceName]>set radaccinactivetmr <temporizador de inactividad (minutos)>[DeviceName]>show radius Habilitar el servidor RADIUS de conteo • [DeviceName]>set radacctbl <índice> status <enable> seraddrfmt <dirección IP o nombre> ipaddr <dirección IP o nombre del servidor RADIUS IP> port <definido por el usuario> ssecret <definido por el usuario>  responsetm <1 - 4 segundos> maxretx <1 - 10 veces> • [DeviceName]>show radacctbl • - Servidores de autenticación. Luis Alfonso Sánchez Brazales

15. Servidores de acceso remoto Parámetros CLI de autenticación • AuthenticationMode DeviceName]>set secconfigtbl <índice> authmode <none, 802.1x, mixed, wpa, wpa-psk> [DeviceName]>show secconfigtbl (confirmar nuevas configuraciones)[DeviceName]>reboot 0 RekeyingInterval • [DeviceName]>set secconfigtbl <índice> rekeyint <60 – 65535 segundos; el valor predeterminado es 900 seg> • [DeviceName]>reboot 0 Key Length (802.1x Mode) • [DeviceName]>set secconfigtbl <índice> enckeylen <64bits, 128bits> • [DeviceName]>reboot 0  Pre-Shared Key (WPA-PSK Mode) • [DeviceName]>set wpaconfigtbl <índice> pskey <64 hexa dígitos> or • [DeviceName]>set wpaconfigtbl <index> passphrase <8-63 caracteres; se recomienda un mínimo de 13 caracteres.>  • [DeviceName]>show wpaconfigtbl (confirmar nuevas configuraciones)[DeviceName]>reboot 0 Luis Alfonso Sánchez Brazales

16. Servidores de acceso remoto • - Servidores de autenticación. Un servidor de autenticación es un dispositivo que controla quién puede acceder a una red informática. Los objetivos son la autorización de autenticación, la privacidad y no repudio. La autorización determina qué objetos o datos de un usuario puede tener acceso a la red, si los hubiere. Privacidad mantiene la información se divulgue a personas no autorizadas. No repudio es a menudo un requisito legal y se refiere al hecho de que el servidor de autenticación puede registrar todos los accesos a la red junto con los datos de identificación, de manera que un usuario no puede repudiar o negar el hecho de que él o ella ha tenido o modificado el datos en cuestión. Tipos de Servidores • Radius: Es un protocolo de autenticación y autorización para aplicaciones de acceso a la red o movilidad IP. Utiliza el puerto 1812UDP para establecer sus conexiones • LDAP: que hacen referencia a un protocolo a nivel de aplicación el cual permite el acceso a un servicio de directorio ordenado y distribuido para buscar diversa información en un entorno de red. LDAP también es considerado una base de datos a la que pueden realizarse consultas Luis Alfonso Sánchez Brazales

17. Servidores de acceso remoto • - Autenticación de contraseña: PAP • - Autenticación por desafío mutuo: CHAP • - Autenticación extensible: EAP. Métodos. • - PEAP. • - Kerberos. • - Protocolos AAA: • -Radius • -TACACS+ Luis Alfonso Sánchez Brazales